Die Sicherheitslage eines Ads-MCP-Servers lässt sich zum größten Teil in etwa zehn Minuten im Browser prüfen, bevor ein OAuth-Bildschirm erscheint. Führen Sie sieben Prüfungen auf der Domain des Servers durch: zwei OAuth-Discovery-Dateien, eine security.txt, eine MCP-Server-Card, ein veröffentlichtes Modell zur Absicherung von Schreibzugriffen, einen Weg zum Widerruf von Sitzungen und einen Registry-Abgleich. Dieser Leitfaden zeigt jede Prüfung an den Live-URLs von PaidSync, damit Sie genau sehen, wie ein Bestehen aussieht, alle abgerufen am 1. August 2026. Die vollständige Kontrollliste für einen sicheren Google-Ads-MCP-Server steht auf der Sicherheitsseite von PaidSync.ai.
Keine dieser Prüfungen erfordert einen Entwickler. Jede ist eine URL, die Sie in einen Browser einfügen, oder ein Begriff, den Sie in öffentlichen Dokumenten suchen. Besteht ein Server die ersten vier nicht, haben Sie nichts zu prüfen, und genau dieses Fehlen ist die Antwort.
Zwei Vorfälle, warum es diese Seite gibt
postmark-mcp, September 2025, der erste bösartige MCP-Server in freier Wildbahn
Forscher von Koi Security fanden ein npm-Paket namens postmark-mcp, das die echte E-Mail-Bibliothek von Postmark imitierte. Ab Version 1.0.16 fügte es eine Codezeile hinzu, die jede darüber versendete E-Mail als Blindkopie an die Adresse eines Angreifers schickte. Es wurde 1.643 Mal heruntergeladen, bevor es entfernt wurde. Der vollständige Bericht steht bei The Hacker News.
Das Entscheidende für Werbetreibende: postmark-mcp hätte keine der folgenden Prüfungen bestanden, weil ein lokal installiertes npm-Paket überhaupt keine Sicherheitslage veröffentlicht. Keine OAuth-Discovery, keinen Sicherheitskontakt, keine Server-Card, keine über die Registry verifizierte Domain. Der Angriff funktionierte über Namens-Imitation, und es gab an keiner festen Adresse etwas, womit man den Namen hätte abgleichen können. Remote-MCP-Server, die Discovery-Dokumente veröffentlichen, geben Ihnen etwas, das keine npm-Installation je bietet: überprüfbare Aussagen unter URLs, die der Betreiber nicht unbemerkt je nach Besucher abwandeln kann.
Der zweite Vorfall ist undurchsichtiger, und Ehrlichkeit verlangt, das zu sagen. Im Frühjahr 2026 behaupteten Werbemanager in Online-Diskussionen, ihre Meta-Werbekonten seien nach der Einbindung von KI-Tools eingeschränkt oder gesperrt worden. Digiday berichtete am 29. April 2026, dass „no official link between the two has been confirmed“, und Meta hat keine Stellungnahme veröffentlicht, die Durchsetzungsmaßnahmen bei Werbekonten mit einem KI-Tool verknüpft. Behandeln Sie die Sperrwelle als unbewiesen. Beachten Sie aber das Muster, das die behaupteten Fälle teilten: rohe API-Token, unbeaufsichtigt laufende Agenten, kein Freigabeschritt zwischen Modell und Live-Konto. Die Prüfungen 5 und 6 unten sollen genau dieses Muster ausschließen, bevor Sie irgendetwas verbinden.
Die sieben Prüfungen im Überblick
Jede Prüfung ist eine URL oder ein dokumentiertes Verhalten. Die rechte Spalte zeigt das Live-Ergebnis von PaidSync, damit Sie einen bestandenen Zustand sehen, nicht weil das Bestehen dieser Prüfungen PaidSync vorbehalten wäre. Jeder gut betriebene Ads-MCP-Server kann und sollte alle sieben bestehen.
| Prüfung | Wo Sie nachsehen | PaidSync-Ergebnis (1. Aug. 2026) |
|---|---|---|
| 1. OAuth-Server-Metadaten | /.well-known/oauth-authorization-server | 200, JSON, PKCE S256 |
| 2. Metadaten der geschützten Ressource | /.well-known/oauth-protected-resource | 200, JSON, Lese- und Schreib-Scopes getrennt |
| 3. security.txt | /.well-known/security.txt | 200, Kontakt + Expires 2027 |
| 4. MCP-Server-Card | /.well-known/mcp/server-card.json | 200, Authentifizierung erforderlich, PKCE erforderlich |
| 5. Absicherung von Schreibzugriffen | Öffentliche Dokumentation, benannte Mechanismen | dry_run + confirm_destructive dokumentiert |
| 6. Sitzungswiderruf | Dokumentation oder Dashboard | Jederzeit im Dashboard widerrufbar |
| 7. Registry-Konsistenz | Offizielle MCP-Registry | Aktiver Eintrag, Domains passen zur Card |
Prüfung 1. Die OAuth-Server-Metadaten-Datei
Fügen Sie dieses Muster in einen Browser ein und setzen Sie die Domain des Servers ein:
https://<server-domain>/.well-known/oauth-authorization-serverRFC 8414 definiert diese Datei. Der Server erklärt darin an einer festen Adresse, wie er OAuth umsetzt: wo seine Autorisierungs- und Token-Endpunkte liegen, welche Grant-Typen er unterstützt und ob er PKCE verlangt (den Schutz gegen das Abfangen von Codes, achten Sie auf S256 unter code_challenge_methods_supported). Ein Server mit dieser Datei setzt standardkonformes OAuth um. Ein Server ohne sie regelt Ihren Zugriff anders, oft indem er verlangt, dass Sie langlebige rohe Token einfügen, das Muster hinter den meisten Schauergeschichten von 2026.
Die Live-Datei von PaidSync, abgerufen am 1. August 2026:
https://paidsync.ai/.well-known/oauth-authorization-serverPrüfung 2. Die Protected-Resource-Metadaten
RFC 9728 ist die Begleitdatei: Die Ressource erklärt, welche Autorisierungsserver Token für sie ausstellen dürfen und welche Scopes es gibt. Zwei Dinge sind hier zu lesen. Erstens, ob Lesen und Schreiben getrennte Scopes sind, denn Trennung bedeutet, dass der Server Reporting-Zugriff gewähren kann, ohne Änderungszugriff zu gewähren. Zweitens, ob die aufgeführten Domains zum Endpunkt passen, den Sie in Claude oder ChatGPT konfigurieren wollen. Das aktuelle MCP-Autorisierungsmodell baut auf diesen beiden Discovery-Dokumenten auf, und die MCP-Spezifikation vom 2026-07-28 hat die Autorisierung weiter verschärft.
Die Live-Datei von PaidSync, abgerufen am 1. August 2026:
https://paidsync.ai/.well-known/oauth-protected-resourcePrüfung 3. security.txt
RFC 9116 definiert die Datei, in der ein Betreiber veröffentlicht, wie man eine Schwachstelle meldet. Achten Sie auf eine Contact-Zeile und ein Expires-Datum in der Zukunft. Ein abgelaufenes Datum bedeutet, dass sich niemand darum kümmert. Eine fehlende Datei bedeutet, dass ein Forscher, der eine Lücke im Server mit Ihren Werbekonten findet, keinen vorgesehenen Weg hat, es jemandem zu sagen. Das ist eine Prüfung von dreißig Sekunden, und sie sortiert überraschend viele Hobby-Server aus.
Die Live-Datei von PaidSync, abgerufen am 1. August 2026:
https://paidsync.ai/.well-known/security.txtPrüfung 4. Die MCP-Server-Card
Die Server-Card ist der Server, der sich maschinenlesbar selbst beschreibt: Name, Endpunkt, Dokumentation und wie die Authentifizierung funktioniert. Lesen Sie drei Felder. Steht bei authentication.required true? Verweist die OAuth-Methode auf die Discovery-Dateien aus den Prüfungen 1 und 2? Passt die Endpunkt-Domain zu dem Ort, mit dem Sie sich tatsächlich verbinden? Eine Card, die für einen Ads-Server keine Authentifizierung verlangt, ist für sich schon ein Warnsignal, denn einen unauthentifizierten Endpunkt vor Werbekonten sollte es nicht geben.
Die Live-Card von PaidSync, abgerufen am 1. August 2026:
https://paidsync.ai/.well-known/mcp/server-card.jsonMöchten Sie einen Server, der besteht, von innen sehen? Der kostenlose Tarif umfasst 100 Aufgaben im Monat, im Wert von $50, ohne Karte.
Kostenlos starten So funktioniert der MCP-ServerPrüfung 5. Modell für Schreibfreigaben
Jeder kann „enterprise-grade security“ auf eine Landingpage schreiben. Worauf Sie achten sollten, ist etwas anderes: Dokumentation, die die konkreten Mechanismen benennt, die Schreibzugriffe absichern, denn benannte Parameter sind prüfbare Aussagen. Durchsuchen Sie die öffentliche Dokumentation des Servers nach Begriffen wie dry_run, Freigabe und Bestätigung für destruktive Aktionen. Benennt die Dokumentation nie einen Absicherungsmechanismus, gehen Sie davon aus, dass Schreibzugriffe ungeschützt sind, und verhalten Sie sich entsprechend.
Das veröffentlichte Modell von PaidSync, abgerufen am 1. August 2026, mit erneuter Prüfung der Sicherheitsseite am 23. September 2026: paidsync.ai/security gibt an, dass PaidSync über MCP keine Freigabekarte schreibt, die menschliche Kontrolle also die eigene Bestätigungsabfrage Ihres Assistenten ist. Die Dokumentation zu Meta-Massenoperationen benennt beide Mechanismen: Eine dry_run-Vorschau steht bei den meisten Schreib-Tools zur Verfügung, damit Sie die geplante Änderung vor der Bestätigung prüfen können, und ein confirm_destructive-Muster gilt für jede Aktion, die Live-Kampagnen ändert. Lesende Aktionen erfordern nie eine Bestätigung.
Prüfung 6. Ein Weg zum Widerruf von Sitzungen
Wissen Sie vor dem Verbinden, wie Sie die Verbindung trennen. Die Frage: Können Sie den Zugriff dieses Servers in unter einer Minute kappen, ohne Ihr Passwort der Werbeplattform zu rotieren? Ein vertrauenswürdiger Server bietet zwei Ebenen. Auf der Tool-Seite ein Dashboard, in dem Sitzungen und Schlüssel widerrufen werden können. Auf der Plattform-Seite können Sie die Verbindung, weil sie OAuth-basiert ist, auch in den eigenen Sicherheitseinstellungen von Google oder Meta trennen. Server, die stattdessen verlangen, dass Sie langlebige rohe API-Token einfügen, bestehen diese Prüfung strukturell nicht: Ihr einziges Mittel ist die Rotation von Zugangsdaten, die langsamer ist und leichter vergessen wird.
Der veröffentlichte Weg von PaidSync, abgerufen am 1. August 2026: paidsync.ai/connect-mcp nennt, dass sich der Zugriff jederzeit in Ihrem PaidSync-Dashboard aufheben lässt.
Prüfung 7. Konsistenz des Registry-Eintrags
Suchen Sie den Server in der offiziellen MCP-Registry und vergleichen Sie, was die Registry sagt, mit der Server-Card aus Prüfung 4:
https://registry.modelcontextprotocol.io/v0/servers?search=paidsyncErsetzen Sie den Suchbegriff durch einen beliebigen Server, den Sie prüfen. Übereinstimmen müssen die Endpunkt-Domains und die Authentifizierungsmethode. Der Registry-Eintrag von PaidSync, abgerufen am 1. August 2026, ist aktiv, wurde am 8. April 2026 veröffentlicht, verweist auf mcp.paidsync.ai und kennzeichnet den API-Schlüssel als erforderlich und geheim. All das stimmt mit der Server-Card überein.
Eine ehrliche Besonderheit, aus der man lernen kann: Die Beschreibung des Registry-Eintrags trägt noch den Text vom April mit 200+ Tools, während die Live-Server-Card den aktuellen Katalog von 630+ Tools über 14 Plattformen widerspiegelt. So sieht harmlose Abweichung aus. Beschreibungen und Zahlen veralten zwischen Registry-Updates. Domains nicht. Eine veraltete Zahl ist kosmetisch, eine abweichende Domain ist, wie Imitation funktioniert, und postmark-mcp war genau ein Angriff durch Namens-Imitation. Gleichen Sie die Domains ab und behandeln Sie jede Abweichung dort als Ausschlusskriterium.
Was ist mit dem offiziellen MCP
Ein berechtigter Einwand: Warum Drittanbieter überhaupt prüfen, wenn Google einen eigenen MCP-Server liefert? Wegen dessen Beschaffenheit. Google kündigte seinen Open-Source-MCP-Server für die Google Ads API am 7. Oktober 2025 im Google Ads Developer Blog an, und das Repository stellt drei Tools bereit: Suche, Ressourcen-Metadaten und eine Liste zugänglicher Kunden. Alles Lesezugriffe. Kein Pausieren, keine Budgetänderung, kein ausschließendes Keyword, keine Änderung irgendeiner Art.
That makes the official server a safe choice for reporting: since its 2 Nov 2026 release its writes cover assets and labels, each proposed first and confirmed second. The moment you want an AI to act on what it finds, you are choosing a third-party server whether you planned to or not. Meta, for its part, is opening its ad ecosystem to third-party AI tools, as Digiday covered in April 2026. So "just use the official one" does not remove the verification problem. It narrows it to the exact category where verification matters most: servers that can write. Running Google's read-only server for diagnostics alongside a verified write-capable server is a reasonable pairing, not a contradiction.
Was diese Checkliste nicht leistet
Ehrliche Grenzen, vorher lesen
Diese sieben Prüfungen verifizieren die Sicherheitslage, nicht den Code. Ein Server, der besteht, hat überprüfbare Sicherheitsarbeit öffentlich geleistet, was mit unsichtbarer Arbeit korreliert, aber kein Beweis dafür ist. Die Checkliste kann die Interna eines Servers nicht auditieren, seine Abhängigkeiten nicht scannen und nicht versprechen, dass eine Werbeplattform automatisierte Aktivität auf Ihrem Konto nie markiert. Sie gilt auch kaum für lokal installierte, npm-basierte MCP-Server, die nichts davon veröffentlichen; dort sind Ihr Schutz Paket-Herkunft und Abhängigkeits-Scans, eine andere Disziplin. Und speziell zu PaidSync, damit derselbe Maßstab auch hier gilt: Search-Console-Tools sind schreibgeschützt, TikTok, Snapchat, Reddit und Pinterest unterstützen die Verwaltung und Optimierung bestehender Kampagnen, aber nicht das Erstellen neuer, und Microsoft Ads erstellt Search- und Performance-Max-Kampagnen, pausiert. Eine Checkliste, die der Autor dieser Seite besteht, bleibt eine Checkliste, die Sie selbst durchführen sollten. Die URLs stehen alle oben.
Besteht die Prüfungen 1 bis 4 nicht: Verbinden Sie kein Konto mit echten Ausgaben. Es gibt nichts zu prüfen, und dieses Fehlen ist der Befund.
Besteht 1 bis 4, schweigt zu 5: nur Reporting. Erteilen Sie keinen Schreib-Scope an einen Server, dessen Dokumentation nie seine Absicherungsmechanismen benennt.
Besteht alle sieben: ein vertretbares Setup. Lassen Sie die Freigabeschranken aktiv, beginnen Sie mit Lese-Scope, erweitern Sie bewusst.
Zu ChatGPT hinzufügen: Öffnen Sie PaidSync.ai im Plugin-Verzeichnis von ChatGPT, installieren Sie es und melden Sie sich an.
Zu Claude hinzufügen: Öffnen Sie PaidSync.ai im Connector-Verzeichnis von Claude, klicken Sie auf Verbinden und melden Sie sich an.
Häufig gestellte Fragen
Ist es sicher, Claude mit meinem Werbekonto zu verbinden?
Es hängt ganz vom Server in der Mitte ab, nicht von Claude. Claude greift über einen MCP-Server auf Ihr Werbekonto zu, und dieser Server hält den Zugriff. Führen Sie vor dem Verbinden die sieben Browser-Prüfungen von oben durch: die beiden OAuth-Discovery-Dateien, eine security.txt, eine MCP-Server-Card, Dokumentation, die ihre Absicherungsmechanismen für Schreibzugriffe benennt, einen Weg zum Widerruf von Sitzungen und einen konsistenten Eintrag in der offiziellen MCP-Registry. Ein Server, der alle sieben besteht und bei dem jeder Schreibzugriff hinter menschlicher Freigabe liegt, ist ein vertretbares Setup. Ein Server, der die ersten vier nicht besteht, gibt Ihnen nichts zum Prüfen, und das ist Ihre Antwort.
Was ist eine MCP-Server-Card und wo finde ich sie?
Eine maschinenlesbare JSON-Datei, die ein Remote-MCP-Server unter /.well-known/mcp/server-card.json veröffentlicht und die beschreibt, was der Server ist: Name, Endpunkt, Dokumentation und wie die Authentifizierung funktioniert. Sie lesen sie, indem Sie die URL in einen Browser einfügen. Die Card von PaidSync unter paidsync.ai/.well-known/mcp/server-card.json deklariert 630+ Tools über 14 Plattformen, kennzeichnet Authentifizierung als erforderlich und verlangt PKCE für den OAuth-Ablauf. Hat ein Remote-Ads-MCP-Server weder Card noch OAuth-Discovery-Dateien, verbinden Sie sich mit einem Endpunkt, der nichts über sich verrät.
Kann ein Ads-MCP-Server meine Kampagnen ändern, ohne mich zu fragen?
Technisch ja, wenn der Server ungeschützte Schreib-Tools bereitstellt und Sie Schreib-Scope erteilt haben. Deshalb gibt es Prüfung 5: Die Dokumentation muss ihre Absicherungsmechanismen benennen. PaidSync überlässt die Prüfung jedes Schreibvorgangs durch den Menschen der eigenen Bestätigungsabfrage Ihres Assistenten (angegeben unter paidsync.ai/security), unterstützt dry_run-Vorschauen bei den meisten Schreib-Tools und wendet ein confirm_destructive-Muster auf Aktionen an, die Live-Kampagnen ändern (dokumentiert unter paidsync.ai/docs/meta-bulk-operations). Wenn die Dokumentation eines Servers nur „secure“ und „safe“ sagt, ohne einen Parameter zu nennen, den Sie testen könnten, gehen Sie davon aus, dass Schreibzugriffe ungeschützt sind.
Was war der postmark-mcp-Vorfall?
Im September 2025 fanden Forscher von Koi Security den ersten bestätigten bösartigen MCP-Server in freier Wildbahn: ein npm-Paket namens postmark-mcp, das die echte Bibliothek von Postmark imitierte. Ab Version 1.0.16 fügte es eine Codezeile hinzu, die jede darüber versendete E-Mail als Blindkopie an die Adresse eines Angreifers schickte. Es wurde laut The Hacker News 1.643 Mal heruntergeladen, bevor es entfernt wurde. Die Lehre für Werbetreibende: Das Paket bestand null überprüfbare Prüfungen, weil lokal installierte Pakete gar keine Sicherheitslage veröffentlichen. Remote-Server mit veröffentlichten OAuth-Discovery-Dateien, einer security.txt und einem Registry-Eintrag geben Ihnen etwas zum Prüfen, bevor Sie sich verbinden.
Hat Meta 2026 Werbetreibende für die Anbindung von KI-Tools gesperrt?
Unbestätigt. Im Frühjahr 2026 behaupteten einige Werbemanager in Online-Diskussionen, ihre Meta-Werbekonten seien nach der Einbindung von KI-Tools eingeschränkt oder gesperrt worden. Digiday berichtete am 29. April 2026, dass kein offizieller Zusammenhang zwischen beidem bestätigt wurde, und Meta hat keine Stellungnahme veröffentlicht, die Durchsetzungsmaßnahmen bei Werbekonten mit einem KI-Tool verknüpft. Gemeinsam hatten die behaupteten Fälle ein Muster: rohe API-Token, unbeaufsichtigte Agenten, kein Freigabeschritt. Freigabegeschützte Schreibzugriffe und widerrufbare Sitzungen (Prüfungen 5 und 6) sind genau gegen dieses Muster gebaut.
Ist der offizielle Google-Ads-MCP-Server sicherer als einer von Drittanbietern?
It carries less write risk: its README (read 7 Nov 2026) lists writes for assets and labels, each proposed first and confirmed second. Google's open-source Google Ads API MCP server, announced October 7, 2025, exposes seven tools in its repository since its 2 Nov 2026 release: search, resource metadata, an accessible-customers list, and four that create assets and manage labels. That makes it a solid reporting companion. The moment you want an AI to actually pause an ad, add negatives, or shift budget, you are choosing a third-party server, and that is precisely when this checklist matters most.
Wie widerrufe ich den Zugriff eines MCP-Servers auf meine Werbekonten?
Zwei Ebenen. Tool-Seite: Ein vertrauenswürdiger Server lässt Sie Sitzungen und Schlüssel im eigenen Dashboard widerrufen; PaidSync nennt unter paidsync.ai/connect-mcp, dass sich der Zugriff zu jeder Zeit im PaidSync-Dashboard widerrufen lässt. Plattform-Seite: Bei jedem OAuth-Tool können Sie den Zugriff auch bei der Werbeplattform selbst kappen, in Googles Sicherheitseinstellungen unter Zugriff durch Dritte und in Metas Business-Einstellungen unter Integrationen. Tools, die stattdessen langlebige rohe API-Token verlangen, zwingen Sie zum Rotieren von Zugangsdaten, was langsamer ist und leichter vergessen wird.
Weiterlesen
Bestes MCP für die Werbeverwaltung Kategorie-Leitfaden → Ist ChatGPT mit Ihrem Google-Ads-Konto sicher? Kategorie-Leitfaden → Werbekonten mit Claude verbinden Einrichtungsanleitung → Meta-Massenoperationen, die Dokumentation zu dry_run und confirm_destructive Dokumentation →Führen Sie die sieben Prüfungen selbst an PaidSync durch und verbinden Sie sich dann im kostenlosen Tarif. 100 Aufgaben im Monat für $0, Pro ab $99/Mon., wenn Sie mehr brauchen.
Kostenlos starten Preise ansehen